7.2. Audit システムのアーキテクチャー

Audit システムには主に 2 つの部分があります。

カーネルコンポーネントは、ユーザー空間アプリケーションからのシステムコールを受け取ります。これは、user、task、fstype、または exit のいずれかのフィルターを通してそれらをフィルタリングします。

システムコールは、exclude フィルターによる評価を通過した後、これらのフィルターのいずれかに送られます。フィルターは、Audit ルールの設定に基づいて、それを Audit デーモンに送信します。

ユーザー空間の Audit デーモンは、カーネルから情報を収集します。ログファイルにエントリーを書き込みます。その他の Audit ユーティリティーは以下と連携します。

RHEL 10 では、Audit dispatcher デーモン (audisp) 機能は、Audit デーモン (auditd) に統合されています。プラグインの設定ファイルは、/etc/audit/plugins.d/ ディレクトリーにあります。これらのプラグインを使用すると、リアルタイム分析プログラムが Audit イベントと連携できるようになります。